TORUN SECURITY NEWS

보안 뉴스

취약점·랜섬웨어·침해사고를 매일 큐레이션해 한글 요약과 함께 전합니다.

2026년 10월 14일 수요일 기준

← 뉴스 홈으로

결제 키워드 뉴스

중요기업

The Hacker News·2026. 09. 28.

⚡ 주간 리캡: 3억 8,700만 달러 규모 암호화폐 해킹, Citrix 취약점 악용, 궤도를 벗어난 AI 에이전트, 그 외 위협들

이번 주 보안 뉴스 요약(Weekly Recap)에서는 Citrix NetScaler ADC/Gateway의 실제 악용 중인 취약점 두 건(CVE-2026-88771, CVE-2026-88772)이 가장 중요한 이슈로 꼽혔습니다. Citrix는 패치를 배포했고, CISA(미국 사이버보안·인프라보안국)는 전 세계적으로 실제 공격이 진행 중이라며 즉시 패치를 권고했습니다. 이 외에도 북한 해킹조직으로 추정되는 공격자가 암호화폐 거래소 Bitget에서 3억 8,700만 달러를 탈취한 사건, 문서 예시로 흔히 쓰이던 "third-party[.]com" 도메인이 악의적으로 등록되어 약 1,700개 저장소를 통해 악성코드 유포에 악용된 사례, JetBrains TeamCity 취약점(CVE-2026-63077)을 이용한 랜섬웨어 공격 등 다양한 위협 동향이 다뤄졌습니다. 전반적으로 새로운 첨단 기법보다는 방치된 계정, 오래된 취약점, 노출된 서비스처럼 "익숙한 부주의"가 공격에 계속 악용되고 있다는 점이 이번 주의 공통된 특징으로 지적됐습니다.

#AI #AI 에이전트 #API 키

중요기업

BleepingComputer·2026. 09. 28.

80,000개 이상의 기업, AI 로그인 정보 탈취당해: 섀도 AI부터 LLMjacking까지

정보를 훔치는 악성코드(인포스틸러)가 ChatGPT, Claude 같은 AI 서비스 로그인 정보를 대량으로 훔쳐 80,000개 이상의 기업 도메인에 영향을 준 것으로 나타났습니다. 보안업체 SOCRadar 조사에 따르면 482개 주요 대기업에서 1,500개 이상의 회사 이메일과 관련된 5,434건의 탈취 기록이 확인됐고, 이 중 90%가 ChatGPT/OpenAI 계정과 관련이 있었습니다. AI 계정이 탈취되면 대화 기록(사내 기밀 포함), 로그인 세션(MFA 우회 가능), 연동된 자동화 권한, API 키(과금·리소스 악용, 이른바 'LLMjacking')까지 한 번에 넘어가기 때문에 일반 비밀번호 유출보다 훨씬 위험합니다. 앞서 8월 말 Anthropic도 탈취된 Claude 세션 대응을 위해 강제 로그아웃, 결제수단 삭제, 부정 결제 환불 조치를 취한 바 있습니다. 기업은 AI 서비스를 SSO(단일 로그인)와 짧은 세션 유지 시간으로 관리하고, API 키를 제한·모니터링하며, 스텔러 로그에 자사 도메인이 노출됐는지 먼저 확인해야 합니다.

#AI #API 키 #LLM

중요통신/IT

The Hacker News·2026. 09. 28.

Carbonato 봇넷, Docker 서버 장악해 텔레그램으로 조종하는 Hermes AI 에이전트 배포

연구진이 "Carbonato"라는 새로운 봇넷 악성코드를 발견했습니다. 이 악성코드는 인증 없이 외부에 노출된 Docker 서버(2375번 포트)를 찾아 침투한 뒤, 오픈소스 AI 에이전트 프레임워크인 Hermes Agent를 설치합니다. 공격자는 이 AI 에이전트의 "인격 설정 파일"을 조작해 텔레그램으로 명령을 내리면 AI가 스스로 서버를 장악하고 자격증명을 훔치도록 만들었습니다. 이 봇넷은 벌레(웜)처럼 주변 네트워크의 다른 취약한 Docker 서버로 계속 퍼져나가며, 코스타리카에 있는 것으로 추정되는 배후 조직이 운영 중입니다. 이 사건은 최근 AI 도구를 활용해 정찰부터 침투, 정보 탈취까지 공격 전 과정을 자동화하는 사례가 늘고 있는 흐름의 일부로, 실제로 온라인 쇼핑몰 27곳에서 60만 건 이상의 신용카드 정보가 유출된 사례도 함께 보고됐습니다.

가짜 직원과 음성·화상 통화… CISO 41% "딥페이크 공격 경험"

보안 최고책임자(CISO)의 41%가 지난 1년간 직원 음성 통화에서 딥페이크를 이용한 사기 공격을 경험했다는 조사 결과가 나왔습니다. 화상 통화를 통한 동일 유형의 공격도 36%가 겪었으며, 이메일 피싱 등 전통적인 사회공학 공격은 79%가 경험할 만큼 여전히 광범위하게 이루어지고 있습니다. AI 기술이 발전하면서 공격이 더 정교해지고 기존 탐지 방법으로는 가짜를 가려내기 어려워진 것이 핵심 문제입니다. 가트너는 이에 대응하기 위해 직원 보안 교육 방식 개선, 신원 확인 체계 강화, AI 위협 탐지·대응 절차 정비 등 세 가지 조치를 권고했습니다.

#AI #AI 에이전트 #개인정보

기타

BleepingComputer·2026. 09. 25.

Rydox 마켓플레이스 운영자, 유죄 인정…최대 22년 징역 위기

코소보 국적의 28세 남성 Ardit Kutleshi가 불법 온라인 마켓플레이스 'Rydox'를 운영한 혐의로 유죄를 인정했습니다. Rydox는 2016년부터 2024년까지 운영되며 수천 명의 미국 시민 개인정보, 로그인 정보, 신용카드 정보 등을 판매했고, 18,000명 이상의 사용자에게 321,000개가 넘는 사이버범죄 도구를 제공했습니다. FBI와 국제 공조를 통해 2024년 12월 마켓플레이스가 폐쇄되었고, 서버와 도메인이 압수되었습니다. Kutleshi는 가중 신원 도용 및 자금 세탁 공모 혐의로 최대 22년 이상의 징역형에 처할 수 있으며, 2027년 2월 선고가 예정되어 있습니다. 이번 사건은 다크웹·불법 마켓플레이스에 대한 국제 공조 수사의 성과를 보여주는 사례입니다.

9월은 교육업계 수난시대... '교육 분야 웹사이트' 해킹 피해 급증

9월 들어 국내 교육 관련 웹사이트 여러 곳이 잇따라 해킹 피해를 입어 학생과 학부모의 개인정보가 유출됐습니다. 하늘교육, 맑은소프트, 생각하는황소, 라이브클래스 등 온·오프라인 교육 플랫폼에서 이름·전화번호·주소·생년월일 등이 빠져나간 것으로 확인되거나 의심되고 있습니다. 특히 생각하는황소 해킹 이후에는 학부모 커뮤니티에 2차 피해 신고가 접수되는 등 실질적 피해로 이어지고 있습니다. 해외에서도 호주의 수학 학습 플랫폼 Mathspace가 침해를 당해 107만 명이 넘는 개인정보가 유출됐습니다. 미성년자 정보가 대량으로 포함돼 있어 피싱(개인정보를 속여 빼내는 사기)이나 스미싱(문자 사기) 등 추가 피해가 우려됩니다.

#개인정보 #개인정보 유출 #결제

중요기업

The Hacker News·2026. 09. 25.

ThreatsDay: AI 검색 포이즈닝, AI 코딩 도구의 저장소 유출, 원클릭 코드 실행 및 13가지 추가 위협

이번 주 보안 위협 모음집에는 총 16가지 사례가 담겨 있습니다. 안드로이드 뱅킹 악성코드, AI 코딩 도구의 소스코드 유출, 원클릭으로 VS Code를 장악하는 취약점, AI 검색 결과를 조작하는 대규모 허위정보 캠페인, 소프트웨어 공급망 공격 등 기업 환경을 직접 겨냥한 위협이 가득합니다. 특히 VS Code 취약점은 링크 하나 클릭만으로 공격자가 사용자 권한으로 코드를 실행하고 SSH 키·클라우드 토큰까지 탈취할 수 있어 즉각적인 대응이 필요합니다. 공급망 공격에서는 인기 오픈소스 프로젝트와 npm 패키지에 북한과 연계된 악성코드가 심겨 개발자 환경이 감염될 수 있음을 보여줍니다. 대부분의 공격은 정교한 기술 없이도 잘못된 설정, 낡은 소프트웨어, 사람의 실수 하나만으로 성공하고 있습니다.

#AI #EDR #GitHub

기업

Help Net Security·2026. 09. 24.

Apple의 새 iOS 27 기능, 사기 피해 징후를 감지한다

Apple은 iOS 27 및 iPadOS 27에 '사칭 위험 감지(Impersonation Risk Detection)'라는 새로운 사기 방지 기능을 도입했습니다. 이 기능은 사용자가 결제나 계정 정보 변경 같은 민감한 행동을 할 때, 앱이 소셜 엔지니어링(심리적 조작) 사기 여부를 기기 자체에서 분석해 위험 수준을 알려줍니다. 분석은 기기 내에서만 이루어지며, Apple은 사진·메시지·메일 내용을 들여다보지 않습니다. 앱은 '알 수 없음', '중간', '높음' 세 단계 중 하나의 위험 수준만 전달받으며, 그에 따라 본인 확인 요청이나 경고 표시 등 자체적으로 대응할 수 있습니다. 사용자는 설정에서 기능을 직접 켜고 끌 수 있으며, 어떤 앱이 언제 위험 평가를 요청했는지도 확인할 수 있습니다.

#개인정보 #결제 #비밀번호

중요기업

BleepingComputer·2026. 09. 24.

악성 AI 에이전트, 신용카드 60만 건 탈취하고 100개 이상 사이트에 스키머 삽입

AI 에이전트 도구 3종을 이용한 자동화 공격 캠페인이 온라인 소매업체들을 대규모로 노려 신용카드 정보 60만 건 이상을 훔쳤습니다. 공격자는 짧은 지시만 내리고 나머지는 AI가 알아서 처리하도록 해, 하루에 수십 개 기업을 자동으로 공격했습니다. 119개 이상의 웹사이트에 결제 정보를 빼내는 악성 코드(스키머)가 심어졌으며, Fortune 500 대기업·미국 주요 항공사 등 대형 조직도 피해를 입었습니다. 표적 하나당 공격 비용이 평균 25달러에 불과해, 기술 수준이 낮은 공격자도 쉽게 따라 할 수 있다는 점이 특히 우려됩니다. 공격자가 데이터 탈취 후 원본을 자동으로 삭제하는 은폐 루틴을 사용해, 피해 기업들은 카드 정보 유출과 함께 데이터 손실 피해까지 겪었습니다.

#AI #AI 에이전트 #결제

기업

Help Net Security·2026. 09. 23.

가짜 Claude Max 무료 이벤트로 사용자 구글 계정 자격증명 탈취

보안 연구기업 Malwarebytes가 Claude Max 무료 구독을 미끼로 구글 계정 로그인 정보를 훔치는 피싱 캠페인을 발견했습니다. 공격자들은 실제 Anthropic 홈페이지와 똑같이 생긴 가짜 페이지를 만들고, 카운트다운과 '잔여 슬롯'으로 긴박감을 조성해 사용자를 유인합니다. 피해자가 구글 로그인 버튼을 누르면, 현재 탭 안에 가짜 구글 로그인 창이 그려지는 '브라우저-인-더-브라우저(Browser-in-the-Browser, 탭 안에 가짜 팝업 창을 그려 실제 팝업처럼 속이는 기법)' 수법으로 자격증명을 탈취합니다. 구글 계정이 탈취되면 이메일·문서·다른 서비스의 비밀번호 재설정까지 공격자에게 노출됩니다. 악성 기능이 러시아어 주석이 달린 재사용 가능한 외부 위젯 코드 한 줄로 구현된 점이 특징으로, 동일 도구를 활용한 유사 캠페인이 확산될 가능성이 있습니다.

#MFA #Windows #결제

중요기업

Help Net Security·2026. 09. 23.

마이크로소프트, 1만 2,000개 수신함을 침해한 피싱 서비스 'EvilTokens' 차단

마이크로소프트가 주도하는 민관 합동 대응팀이 'EvilTokens'라는 피싱(가짜 로그인 페이지로 계정을 탈취하는 공격) 서비스를 차단했습니다. 이 서비스는 1만 개 이상의 조직에서 1만 2,000개가 넘는 이메일 계정을 침해했으며, 2026년 2월부터 텔레그램을 통해 판매됐습니다. 공격자들은 피해자가 정상적인 마이크로소프트 로그인 과정에서 인증 코드를 입력하도록 유도해 비밀번호 없이도 계정에 접근할 수 있었고, 내장된 AI 챗봇이 이메일 내용을 분석해 송금 담당자를 식별하고 사기 메시지까지 자동으로 작성해줬습니다. 수사기관이 50개 웹사이트와 150개 이상의 도메인을 압수·차단했으며, 영국에서 용의자 2명이 체포됐습니다. 기업은 이메일 계정 침해 후 세션·토큰 즉시 폐기, 결제 정보 변경 요청의 2차 경로 확인 등 대응 조치를 즉시 점검해야 합니다.

#AI #결제 #금융 사기

기업

Help Net Security·2026. 09. 23.

테스트한 웹사이트의 거의 3분의 2가 모든 봇 탐지에 실패

보안 업체 DataDome이 7만 5천여 개 웹사이트를 1년간 분석한 결과, 악성 봇 트래픽이 같은 기간 인간 트래픽 증가율(13.2%)의 약 10배인 124%나 급증한 것으로 나타났습니다. 전체 인터넷 트래픽의 약 26.5%가 봇과 AI 에이전트에서 발생했으며, 웹 스크래핑(데이터 무단 수집)이 악성 봇 공격의 71%를 차지했습니다. 특히 AI 봇이 로그인 페이지에 접근하는 비율이 2026년 상반기에만 8배 이상 급증하면서, 정상적인 AI 비서와 계정 탈취 봇을 구분하는 것이 새로운 과제가 되고 있습니다. 테스트에 포함된 인기 웹사이트의 65.3%는 10가지 봇 시뮬레이션 중 단 하나도 탐지하지 못했으며, 모든 유형을 막은 사이트는 2.4%에 불과했습니다. 기업 보안 담당자는 로그인·결제·장바구니 페이지에 대한 봇 탐지 체계를 재점검할 필요가 있습니다.

#AI #AI 에이전트 #DDoS

이전2 / 9다음